Analiza ryzyka i rekomendacje

Tymczasem faktyczna ekspozycja siedzi w miejscu mniej efektownym. System księgowy na maszynie nieaktualizowanej od dwóch lat. Dziesięć osób korzystających z jednego hasła administratora. Dostawca ze stałym dostępem do środowiska, którego nikt nie przeglądał od czasu wdrożenia integracji.

Analiza ryzyka zbiera te rzeczy w jednym miejscu i układa w kolejności. Nie jest to przyjemna lektura i jest wyraźnie tańsza niż sprawdzanie tego samego w praktyce.

Sklep internetowy traci pieniądze z każdą godziną przestoju, więc dominuje dostępność. Kancelaria bez większej szkody przetrwa dzień bez systemów, ale wyciek dokumentów klientów uderzy w nią poważnie, więc dominuje poufność. Producent z systemami produkcyjnymi w sieci ma dodatkowy wymiar bezpieczeństwa fizycznego, którego pozostali nie mają. Firma przetwarzająca dane osobowe na dużą skalę ma ekspozycję prawną, która znów zmienia rachunek.

Dlatego zaczynamy od firmy, a nie od sieci. Co sprzedajesz, co się zatrzymuje przy awarii, które dane zabolałyby najbardziej po ujawnieniu i jakie masz zobowiązania wobec klientów. Inwentaryzacja techniczna przychodzi później, bo daje się zinterpretować dopiero wtedy, gdy wiadomo, co jest ważne.

Przy okazji wychodzą rzeczy, których nikt wcześniej nie spisał. Od jakich systemów faktycznie zależy proces fakturowania. Ten jeden arkusz, na którym opiera się połowa operacji, leżący na czyimś laptopie.

Scenariusze warte modelowania są zwyczajne. Pracownik otwiera załącznik i ransomware szyfruje serwer plików. Z przejętej skrzynki idzie do Twoich klientów informacja o zmianie numeru konta do przelewu. Z samochodu ginie laptop z niezaszyfrowanym dyskiem. Dostawca zostaje zhakowany, a jego dostęp do Twoich systemów wykorzystany. Baza zostaje skasowana przez pomyłkę przy rutynowej zmianie, a kopia okazuje się niekompletna.

Przy każdym z nich warto przejść przez godziny następujące po zdarzeniu. Kto zauważa i po jakim czasie. Co przestaje działać. Ile to kosztuje na dobę. Które istniejące zabezpieczenie by się obroniło, a które okazałoby się teoretyczne. Zwykle właśnie w tym momencie lista priorytetów pisze się sama, bo luki stają się oczywiste w sposób, którego żadna punktacja nie odda.

Ten stosunek wyłania zwycięzców mało efektownych. Sprawdzenie, że backupy da się odtworzyć. Usunięcie kont po osobach, które odeszły. Włączenie uwierzytelniania wieloskładnikowego na poczcie i w konsolach administracyjnych. Aktualizacja systemów wystawionych do internetu. Nic z tego nie jest ciekawe, wszystko jest tanie, a razem eliminuje większość realnych scenariuszy.

Drogie pozycje lądują niżej, a części z nich lepiej w ogóle nie robić. Firma zatrudniająca trzydzieści osób nie potrzebuje całodobowego centrum monitorowania bezpieczeństwa. Powiedzenie tego wprost też należy do tej pracy. Wolimy, żeby budżet poszedł na trzy rzeczy realnie zmieniające Twoje ryzyko niż na program, który wygląda solidnie i zostawia niezaktualizowany serwer plików.

Zobaczysz też rekomendacje, co do których spodziewamy się odmowy. To w porządku, o ile decyzja jest świadoma. Zaakceptowane ryzyko, które ktoś wybrał z pełną wiedzą, to normalny element prowadzenia firmy. Problemem jest zaakceptowane ryzyko, o którym nikt nie wiedział.

To ostatnie znaczy więcej, niż brzmi. Większość firm nie potrafi opisać własnej ekspozycji jednym zdaniem, przez co każda rozmowa o bezpieczeństwie jest negocjacją między nieokreślonym niepokojem a nieokreślonym uspokojeniem. Zastąpienie tego konkretną listą jest właściwym celem całej tej pracy.